Auftragsdatenverarbeitungsvertrag

Hier finden Sie unseren aktuellen Auftragsdatenverarbeitungsvertrag in unserer Standardausführung. Ein komplettes, aktuelles Vertragsmuster samt Anlagen können Sie hier herunterladen und lesen.

Unseren Standardverträg können Sie jederzeit und eigenständig innerhalb Ihres Benutzerskonto unter Verträge abschließen. Falls Sie einen individuellen Vertrag oder Zusatzvereinbarungen benötigen, wenden Sie sich bitte an unser Support-Team.

1 - Gegenstand und Dauer der Auftragsverarbeitung

1.1 Gegenstand

Wesentlicher Gegenstand ist die Bereitstellung eines Software-as-a-Service (SaaS) Online-Dienstes, bekannt als CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart). Die vom Vertrag umfassten Leistungen erstrecken sich auf die Bereitstellung, den Betrieb, Wartung, Support, Analyse und Verbesserung der Dienstleistungen des CAPTCHA-Dienstes.

Dieser Vertrag ergänzt den Servicevertrag (nachfolgend Hauptvertrag) zwischen dem Verantwortlichen und Trustcaptcha GmbH. Der Vertrag geht dem Hauptvertrag vor, wenn es um die Erfüllung regulatorischer Anforderungen im Bereich des Datenschutzes oder der Datensicherheit gemäß der DSGVO geht und dies nur in Bezug auf die jeweiligen Felder, in denen personenbezogene Daten verarbeitet werden.

1.2 Dauer

Die Dauer (Laufzeit) dieses Vertrags entspricht der Laufzeit des Hauptvertrags, mindestens aber während der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet. Darüber hinaus stimmen die Parteien überein, dass alle vorherigen Verträge zur Auftragsverarbeitung mit dem Abschluss dieses Vertrages einvernehmlich aufgehoben werden.

2 - Konkretisierung der Datenverarbeitung

2.1 Zweck und Art der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für den Verantwortlichen i.S.v. Art. 4 Nr. 2 DSGVO auf Grundlage des Auftrags. Der Zweck der Datenverarbeitung ist der Schutz von Unternehmen, durch die Sicherheitsmechanismen des CAPTCHA-Diensts von TrustCaptcha, sowie die Bereitstellung zusätzlicher Funktionen. TrustCaptcha wertet Daten bei CAPTCHA-Anfragen zur Bedrohungsanalyse aus. TrustCaptcha verarbeitet zudem Daten, um damit verbundene erweiterte Funktionen anbieten zu können. Die Daten können insbesondere, soweit jeweils erforderlich: erhoben, gespeichert, organisiert, verändert, ausgelesen, abgefragt, verwendet, offengelegt, abgeglichen, verknüpft und gelöscht werden.

2.2 Gegenstand der Verarbeitung

Gegenstand der Verarbeitung durch den CAPTCHA-Dienst sind Nutzungs-/Verhaltensdaten, Gerätedaten, Verbindungsdaten und Standortdaten. Dazu zählen beispielsweise, abhängig von Gerät und Einstellungen des Nutzers, Angaben zu Geräteeigenschaften und Gerätedaten (z.B. Gerät und Gerätetyp, Betriebssystem, Plugins, Bildschirmgröße, Hardware), IP-Adresse, Referrer-Website, automatisch übermittelte Cookies, Verhaltensdaten wie Maus- und Tastaturverhalten bzw. Berührungen bei Touch-Geräten, sowie Einstellungen (z.B. Sprache). Diese können temporär gespeichert, mit anderen Informationen wie z.B. Uhrzeit, allgemeinen Standortinformationen und IP-Allow-/Blocklists abgeglichen und ausgewertet werden. Manche Daten können temporär zur Weiterentwicklung der Schutzmechanismen gespeichert werden. Die Datenerfassung durch das CAPTCHA beschränkt sich auf technische, verhaltensbezogene und statistische Aspekte, es werden keine inhaltlichen Eingaben ausgewertet. Die vom CAPTCHA-Dienst verarbeiteten Daten werden ausschließlich für die Zwecke der CAPTCHA-Verifikation, sowie um zuverlässig auf zukünftige Bedrohungen vorbereitet zu sein, verarbeitet. Die Daten werden zudem für die Bereitstellung von Statistiken und Nutzungsinformationen für den Verantwortlichen verarbeitet. Um bei wandelnden Anforderungen und Rahmenbedingungen effektiven Schutz zu bieten, sowie durch die Erweiterung um neue Funktionen, können zukünftig auch andere Daten verarbeitet werden.

2.3 Kategorien betroffener Personen

Die Verarbeitung betrifft:

• Personen, die die Auswertung (Bot-Verifikation) von einem CAPTCHA-Feld auslösen

2.4 Die vertraglich vereinbarte Datenverarbeitung personenbezogener Daten wird in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum durchgeführt. Eine Verlagerung in ein Drittland ist nur mit vorheriger Zustimmung des Verantwortlichen zulässig und darf nur bei Erfüllung der speziellen Anforderungen der Art. 44 ff. der DSGVO stattfinden.

3 - Technische und organisatorische Maßnahmen

• 3.1 Der Auftragsverarbeiter hat die Sicherheit nach Art. 28 Abs. 3 lit. c, gemäß Art. 32 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen (Siehe Anlage 2).
• 3.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Daher ist es dem Auftragsverarbeiter erlaubt, alternative adäquate Maßnahmen umzusetzen, solange das festgelegte Sicherheitsniveau nicht dauerhaft unterschritten wird. Wesentliche Änderungen werden dokumentiert.

4 - Auskunft, Berichtigung, Löschung und Rückgabe von personenbezogenen Daten

• 4.1 Der Auftragsverarbeiter kann im Auftrag des Verantwortlichen während der Vertragslaufzeit die vertragsgegenständlichen personenbezogenen Daten berichtigen oder löschen, wenn der Verantwortliche dies anweist und dies vom Weisungsrahmen umfasst ist. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragsverarbeiter die datenschutzkonforme Vernichtung von Datenträgern oder sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Verantwortlichen. Für die Erbringung dieser Unterstützungsleistungen kann der Auftragsverarbeiter ein Entgelt je angefangener Arbeitsstunde berechnen.
• 4.2 Der Auftragsverarbeiter ist berechtigt, insbesondere die zur Bedrohungsanalyse vom CAPTCHA-Dienst verarbeiteten personenbezogenen Daten, jederzeit zu löschen oder zu anonymisieren. Dies dient der Reduzierung der verarbeiteten Datenmenge und der Sicherstellung der Effizienz des CAPTCHA-Dienstes.
• 4.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen nach besten Kräften bei der Erfüllung der Rechte betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO) und stellt sicher, dass die erforderlichen technischen und organisatorischen Maßnahmen zur Erfüllung dieser Anfragen vorhanden sind.
• 4.4 Wendet sich eine betroffene Person zwecks Auskunft, Berichtigung oder Löschung an den Auftragsverarbeiter, wird der Auftragsverarbeiter die betroffene Person an den Verantwortlichen verweisen und leitet den Antrag an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen in angemessenem Umfang. Anfragen für Unterstützung hat der Verantwortliche in Textform an den Auftragsverarbeiter zu stellen und diesem die entstehenden Kosten zu erstatten.
• 4.5 Nach Beendigung der Dienstleistung löscht der Auftragsverarbeiter, nach Weisung des Verantwortlichen, alle personenbezogenen Daten oder gibt diese dem Verantwortlichen zurück, sofern keine gesetzlichen Aufbewahrungspflichten dem entgegenstehen.

5 - Weisungsbefugnis des Verantwortlichen und Pflichten des Auftragsverarbeiters

• 5.1 Der Auftragsverarbeiter darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrages und der Weisungen des Verantwortlichen verarbeiten, außer es liegt ein Ausnahmefall des Art. 28 Abs. 3 lit. a DSGVO vor. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragsverarbeiter darf die Umsetzung der Weisung so lange aussetzen, bis sie vom Verantwortlichen bestätigt oder abgeändert wurde.
• 5.2 Weisungen vom Verantwortlichen muss der Auftragsverarbeiter dokumentieren.
• 5.3 Mündliche Weisungen bestätigt der Verantwortliche unverzüglich (mindestens Textform).
• 5.4 Erteilt der Verantwortliche dem Auftragsverarbeiter Weisungen, die über die vertraglich vereinbarten Leistungen hinausgehen oder unvorhergesehene zusätzliche Maßnahmen erfordern, so hat der Verantwortliche die dadurch entstehenden Kosten zu erstatten.
• 5.5 Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO. Der Auftragsverarbeiter setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die zur Vertraulichkeit verpflichtet wurden. Der Auftragsverarbeiter und jede dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Verantwortlichen verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
• 5.6 Der Auftragsverarbeiter stellt die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen (Siehe Anlage 2) sicher.
• 5.7 Der Verantwortliche und der Auftragsverarbeiter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
• 5.8 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragsverarbeiter ermittelt.
• 5.9 Soweit der Verantwortliche seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragsverarbeiter ausgesetzt ist, hat ihn der Auftragsverarbeiter nach Möglichkeit zu unterstützen.
• 5.10 Der Auftragsverarbeiter kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

6 - Pflichten des Verantwortlichen

• 6.1 Der Verantwortliche hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er Verstöße des Auftragsverarbeiters gegen datenschutzrechtliche Bestimmungen feststellt.
• 6.2 Verantwortlich für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung, sowie für die Wahrung der Rechte von Betroffenen ist allein der Verantwortliche.

7 - Mitteilung bei Verstößen des Auftragsverarbeiters

• 7.1 Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Verantwortlichen bekannt werden. Eine Meldung von Datenschutzverletzungen enthält mindestens:
  • eine Beschreibung des Vorfalls, soweit möglich mit Angabe der Art der Verletzung des Schutzes personenbezogener Daten, Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze
  • Kontaktdaten einer Anlaufstelle für weitere Informationen
  • eine Beschreibung der wahrscheinlichen Folgen des gemeldeten Vorfalls, eine Beschreibung der ergriffenen Maßnahmen zur Behebung und ggf. Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
• 7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten, einschließlich der Sicherheit personenbezogener Daten, der Meldung von Datenschutzverletzungen, der Durchführung von Datenschutz-Folgenabschätzungen und der vorherigen Konsultation mit Aufsichtsbehörden. Hierzu gehören insbesondere:
  • Implementierung und Aufrechterhaltung angemessener technischer und organisatorischer Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus (Siehe Anlage 2).
  • Unverzügliche Meldung von Datenschutzverletzungen an die zuständige Aufsichtsbehörde.
  • Information der betroffenen Personen über Datenschutzverletzungen, wenn diese voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten darstellen.
  • Durchführung von Datenschutz-Folgenabschätzungen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
  • Konsultation der Aufsichtsbehörde vor der Verarbeitung, wenn aus der Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko darstellt.

8 - Kontrollrechte

Der Auftragsverarbeiter weist, nach Anforderung des Verantwortlichen, diesem die Einhaltung der in diesem Vertrag niedergelegten Pflichten nach, jedoch nicht mehr als einmal pro Kalenderjahr. Dies betrifft insbesondere den Nachweis über die Umsetzung der technischen und organisatorischen Maßnahmen. Dieser Nachweis erfolgt durch Zertifizierungen oder Berichte interner oder externer Prüfer, sowie durch Inspektionen in besonderen Fällen. Prüfungen müssen ohne Störung des Betriebsablaufs sowie unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragsverarbeiters durchgeführt werden. Prüfungen haben nur innerhalb üblicher Geschäftszeiten zu erfolgen und sind mindestens 14 Tage vorab anzukündigen.

9 - Unterauftragsverhältnisse

• 9.1 Ein Unterauftragsverhältnis im Rahmen dieses Vertrags sind solche Leistungen, bei denen der Auftragsverarbeiter weitere Unterauftragsverarbeiter mit der Verarbeitung von im Vertrag vereinbarten personenbezogenen Daten, die im direkten Bezug zur Erbringung der Hauptdienstleistung stehen, beauftragt.
• 9.2 Ein Unterauftragsverhältnis erfordert, dass der Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt bekommt, die in dem Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt.
• 9.3 Der Verantwortliche stimmt den in Anlage 1 aufgeführten, bereits beauftragten Unterauftragsverarbeitern zu.
• 9.4 Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter Unterauftragsverarbeiter hinzuzieht oder ersetzt. Vor Hinzuziehung oder Ersetzung der Unterauftragsverarbeiter zeigt der Auftragsverarbeiter dem Verantwortlichen Änderungen, mit einer angemessenen Frist, schriftlich oder in Textform an. Im Falle eines Einspruchs des Verantwortlichen steht dem Auftragsverarbeiter das Recht zur außerordentlichen Kündigung dieser Vereinbarung sowie des zugrundeliegenden Servicevertrags zu.
• 9.5 Wenn der Unterauftragsverarbeiter die vereinbarte Leistung außerhalb der EU oder des EWR erbringt, ist der Auftragsverarbeiter dafür verantwortlich, dass die datenschutzrechtlichen Anforderungen durch geeignete Maßnahmen erfüllt werden.

10 - Sonstiges

• 10.1 Der Verantwortliche ist verpflichtet, alle im Rahmen dieses Vertragsverhältnisses erlangten Kenntnisse über Geschäftsgeheimnisse und Datensicherheitsmaßnahmen des Auftragsverarbeiters als vertraulich zu behandeln. Diese Verpflichtung gilt auch nach Beendigung dieses Vertrags. Sollten Zweifel bestehen, ob eine Information der Geheimhaltungspflicht unterliegt, so ist diese Information bis zur schriftlichen Freigabe durch den Auftragsverarbeiter als vertraulich zu behandeln.
• 10.2 Sollten die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren.
• 10.3 Änderungen und Ergänzungen dieses Vertrags und aller ihrer Bestandteile, einschließlich etwaiger Zusicherungen des Auftragsverarbeiters, bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
• 10.4 Sollten einzelne Teile dieses Vertrags unwirksam sein, so berührt dies die Wirksamkeit des Vertrags im Übrigen nicht.
• 10.5 Es gilt das Recht der Bundesrepublik Deutschland.
• 10.6 Gerichtsstand ist das Gericht am Sitz des Anbieters und damit München.

Version: v24.11.1